Telegram предлагал эксперту деньги за молчание о баге функции самоудаления

Telegram предлагал эксперту деньги за молчание о баге функции самоудаления

Telegram предлагал эксперту деньги за молчание о баге функции самоудаления

Разработчики Telegram в этом году устранили в мессенджере ещё один баг, затрагивающий механизм самоудаления сообщений и вложений. Однако нашедший брешь исследователь недоволен медленной реакцией команды девелоперов, а также предложенным ему вознаграждением за молчание.

Как оказалось, представители Telegram хотели заплатить специалисту сумму в размере $1159, однако одним из условий было неразглашение информации о баге. Эксперт отказался.

Речь идёт о некорректной работе функции самоудаления сообщений, которая должна автоматически стирать вложения на устройствах как получателя, так и отправителя. Разработчики подают эту функциональность в качестве ещё одного опционального слоя приватности.

В феврале 2021 года вышла версия мессенджера под номером 2.6. Этот релиз, согласно описанию, отметился нововведением — возможностью задать таймер самоуничтожения отдельных сообщений. Спустя буквально несколько дней исследователь, известный под именем Дмитрий, нашёл брешь в новой функции Android-версии Telegram.

«После нескольких дней тестирования я всё-таки нашёл, что искал: запрограммированные на самоудаление сообщения уничтожились только визуально (в окне чата). На деле же все прикреплённые картинки и другие вложения оставались в кеше на устройствах пользователей», — пишет специалист в блоге.

Этой проблеме присвоили идентификатор CVE-2021-41861. Как объяснил исследователь, в Android-версии Telegram вложения из удалённых сообщений оставались в директории /Storage/Emulated/0/Telegram/Telegram Image. При этом пользовательский интерфейс давал понять, что как сообщение, так и вложения успешно удалились.

Тем не менее получить какую-либо реакцию от представителей Telegram оказалось не так просто, отметил Дмитрий. Эксперт обратился к разработчикам мессенджера в марте, но только в сентябре получил вменяемый ответ и подтверждение наличия бага.

За указание на проблему в конфиденциальности Дмитрию предложили 1159 долларов, однако одним из условий вознаграждения был запрет на разглашение информации о найденной уязвимости.

«На данный момент я не получил никакого вознаграждения», — подытожил эксперт.

Microsoft закрывает десктопный Sway — сервис окончательно уходит в браузер

Microsoft постепенно сворачивает историю Sway как десктопного приложения. Компания официально подтвердила: версию программы Sway для Windows (Win32) отправят на покой 1 июня 2026 года. После этого сервис останется доступен только в браузере — через Office Online.

Новость не слишком неожиданная. Microsoft уже давно делает ставку на веб-версии своих сервисов, а мобильное приложение Sway для iOS, напомним, закрыли ещё в 2018 году. Теперь очередь дошла и до Windows — фактически это финальная точка в переходе Sway полностью в облако.

Положительный момент в том, что ничего ломаться не должно. По заверениям Microsoft, все презентации, отчёты и интерактивные материалы никуда не денутся. Данные сохранятся, функциональность останется прежней, а сам переход обещают сделать максимально незаметным — особенно для тех, кто и так работает с Sway через браузер.

Почему Microsoft идёт этим путём, тоже понятно. Веб-приложения проще поддерживать, обновления выходят быстрее, а пользовательский опыт получается более одинаковым на разных устройствах. Для компании это меньше лишнего кода и затрат, для пользователей — меньше зависимостей от конкретной платформы.

Впрочем, реакция ожидаемо будет неоднозначной. Кому-то удобно жить в браузере и забыть про установку программ. А кто-то по-прежнему предпочитает «настоящие» десктопные приложения — особенно в корпоративной среде.

Если вы всё ещё используете Sway как настольное приложение, времени подготовиться более чем достаточно — почти два года. А дальше выбор будет простой: браузер или ничего.

RSS: Новости на портале Anti-Malware.ru